微軟點名中共黑客用AI攻擊全球數百機構

周三（10月21日），微軟一份報告直接點名，具有中共背景的黑客組織「Storm-0940」使用AI滲透工具ARTEX，成功入侵IT服務公司康耐維斯（ConnectWise），並在全球數百家組織取得雲端高階權限，且部份攻擊從鎖定目標到取得特權存取，時間不到3小時。

黑客透過AI攻擊全球數百間機構

微軟安全研究團隊（Microsoft Security Research）指出，具有中共國家背景、自2021年活躍至今的Storm-0940，在今年9月就使用由中國開發的AI滲透工具ARTEX，對全球各行各業數百個組織發動自動化攻擊。

微軟表示，ARTEX是具備自主代理能力的工具，它能讓黑客幾乎無需人工介入情況下，就能自動執行網絡偵察、密碼噴灑（暴力密碼測試）與敏感資料外洩等階段。

這次攻擊波及全球航太、國防、汽車、化工、能源、金融服務、政府、法律、製造、媒體、軍事、半導體、軟件、科技、智庫與非牟利組織等領域，影響超過2,250個微軟雲端租戶。

Storm-0940攻擊手法與時間軸

微軟描述，Storm-0940在10月10日至14日行動中，使用ARTEX鎖定8個組織的327個帳號展開密碼噴灑攻擊，導致失敗登入次數突破15萬次，高峰期達到每分鐘2,900次，並想藉此讓防禦系統崩潰。

隨後在10月15日至16日，該組織利用漏洞成功入侵康耐維斯公司的雲端備份環境，並以相同的方式嘗試登入超過2,250個租戶，接著再透過OAuth應用程式在部份受害組織的雲端目錄中植入難以清除的「特權持久性」後門。

微軟指出，部份攻擊從初始鎖定到取得特權存取不到3小時。康耐維斯也於10月16日公開承認此次漏洞，並緊急關閉系統。

康耐維斯行政總裁曼尼·里維洛（Manny Rivelo）在聲明中直指，根據微軟分析與公司掌握的證據，具有中共背景的Storm-0940對公司雲端發動襲擊。目前系統正分階段復原，修復需數天才能完成。

里維洛指出，「這些行動並不能清除個別客戶租戶中，可能已經建立的未授權存取，這些問題需要另行排查」，建議客戶暫時維持連線停用狀態。

黑客濫用ARTEX入侵日、韓案例

ARTEX是中國開發、於今年7月發布的開源滲透測試框架，可搭配任何AI模型實行自動化攻擊流程。10月8日，因公開報告指出工具遭不法者濫用，開發者已將其改為閉源（closed-source）。

在康耐維斯遭受Storm-0940攻擊之前，ARTEX已被用於攻擊日韓的機構。美國資安公司CrowdStrike指出，黑客在9月底至10月初使用ARTEX攻擊韓國的新韓銀行、KB國民銀行等多家金融機構，導致約6.8萬人資料外洩。

日本GMO互聯網集團（GMO Internet Group）旗下網絡犯罪對策中心主任福森大樹（Daiki Fukumori）於10月19日表示，調查發現攻擊日本企業的伺服器基礎設施同樣使用ARTEX，攻擊目標涵蓋電子商務、金融、零售、物流、媒體、教育及行銷等領域。

他提到，這次攻擊約80間企業被鎖定，其中至少8家已確認資料外洩，包括大和證券（Daiwa Securities）、東日本旅客鐵道（East Japan Railway，JR東日本）及軟銀（SoftBank）等。

該中心還提到，2026年9月下旬至10月上旬針對韓國金融機構的網絡攻擊也使用了ARTEX，「我們懷疑日本企業也正遭受相同的攻擊手法。」

目前公開報告並未將日韓兩波攻擊直接歸因於Storm-0940，但相關報告均指出，這些攻擊可能由中國相關黑客所為，或使用中國開發的工具與中文介面操作。

針對微軟這項報告，中共駐華盛頓大使館則未予回應。儘管中共過往一概否認參與任何形式的黑客行動，但微軟等科技公司與多家資安機構評估，包括Storm-0940在內的多個黑客組織，其行動與中共指使相關。#